运维手册

堡垒机：JumpServer 临时授权与会话审计

细化资产纳管、限时授权、连接分支、录像可用性与密钥一致的隔离恢复。

堡垒机：JumpServer 访问与审计

JumpServer 在图中提供受控运维入口，本方案关注人员、资产、资产账号、授权期限和会话证据的对应关系。堡垒机不能替代目标主机补丁、网络隔离、数据库权限或业务审批；是否支持某协议、多因素认证或特定审批功能需按实际版本和许可确认。

本文没有连接真实资产或创建运维授权。所有资产测试、账号配置、会话演练、密钥轮换和恢复操作均待目标环境授权，公开站点仅保存操作设计和脱敏证据索引。

为资产登记业务负责人、环境、网络入口、协议、目标账号及允许操作范围。资产登录账号与堡垒机用户不同，必须独立限制目标系统权限；不因用户可登录堡垒机就授予所有主机访问权。平台数据库、缓存、会话录像与命令记录存储位置分别入册。

验证堡垒机到资产的网络路径、DNS、时间和证书或主机密钥。目标主机直接访问路径是否应收敛需经过网络变更审批，不能在试点纳管时擅自关闭现有应急通道。

申请包含人员身份、业务原因、工单、资产、账号、时间窗口和需用功能；审批后仅对所需对象授权。先使用测试资产验证登录、最小权限、会话记录和到期行为，再扩大纳管。高风险操作的额外审批要求按企业制度落实，不把“有录像”视为免审批理由。

到期后检查新连接是否拒绝、原有会话如何结束以及目标系统是否留下额外密钥、账号或计划任务。若资产凭据在操作中暴露，应按批准流程轮换并确认依赖方同步，不仅从授权列表移除用户。

检查登录失败、异常来源、临近到期授权、无负责人资产、连接组件状态和录像写入错误。抽选一条已批准会话核对申请、用户、资产、起止时间、命令或录像是否对应，保证审计人员实际能够回放而不是只看到索引。

观察存储容量、录像保留任务和跨系统时间偏差。录屏可能包含业务数据或凭据，限制查看与导出权限，不能为展示平台效果将真实录像上传到知识站点。审计保留期和删除例外由数据责任人批准。

无法登录平台先查身份来源、认证链、时间及入口；能登录却看不到资产则查授权对象、有效期和组织范围。资产可见但连接失败，核对代理组件到目标的网络、目标账号状态和主机密钥，不直接放宽目标防火墙至全网。

连接正常而无录像，应把审计链失败单独升级，检查存储权限、空间和上传失败。若审计是访问前提，在恢复留证能力前停止新增高风险会话。紧急直连只允许已批准的应急流程，结束后必须补齐操作记录和权限复核。

官方恢复文档区分数据库与静态文件：用户、资产、账号及记录属于数据库，录像等文件另行保存；跨环境恢复还需保持相应配置密钥一致。JumpServer 备份恢复说明

本方案要求将数据库、录像存储、配置和关键密钥列为同一恢复清单，密钥单独加密托管。恢复至隔离网络后先核对账号可解密、历史记录与录像可关联、权限未扩大；不要立即对生产资产执行账号验证。旧备份中的过期授权必须与最新工单对账，避免恢复后重新获得访问权。

至少验证未授权资产不可见或不可连、有限权限账号无法执行越界动作、授权到期失效、会话证据可读以及恢复后账号和录像一致。目标资产身份不清、长期共享账号无法追责、录像链路不可靠或密钥恢复未验证时，停止扩大纳管。

具体组件与恢复步骤按实际部署版本的 JumpServer 官方手册执行。可结合临时远程访问场景补充审批和回收证据，并与LDAP 手册区分目录禁用和会话回收。